iptables 生产环境下基础设置

Posted 2020-11-19 zoulixiang

iptables 生产环境下基础设置

生成环境需求：
防火墙需要让内网的Ip全部通过，外网IP添加到白名单，其他一切拒绝。
安装
在linux系统中安装yum install iptables-services

[[email protected] ~]# cat /etc/sysconfig/iptables
# sample configuration for iptables service
# you can edit this manually or use system-config-firewall
# please do not ask us to add additional ports/services to this default configuration
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -s 192.168.5.0/24 -j ACCEPT 
-A INPUT -s 192.168.6.0/24 -j ACCEPT
-A INPUT -s 192.168.10.0/24 -j ACCEPT
-N whitelist
-A whitelist -s x.x.x.x -j ACCEPT
#-A whitelist -s 192.168.6.0/24 -j ACCEPT
#-A whitelist -s 192.168.5.0/24 -j ACCEPT
#-A whitelist -s 192.168.10.0/24 -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j whitelist
-A INPUT -m state --state NEW -m tcp -p tcp --dport 2181 -j whitelist
-A INPUT -m state --state NEW -m tcp -p tcp --dport 7180 -j whitelist
-A INPUT -m state --state NEW -m tcp -p tcp --dport 8888 -j whitelist
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT

iptables从上往下匹配
所以
上边是白名单的IP列表

下边是针对白名单里的内容开启的一些端口

要把ACCEPT的写在上边。

把REJECT的内容写在下边。

这样白名单里的IP就可以访问我们限制的端口及服务了，而没有在白名单里的IP则会被拒绝。

-A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j whitelist 这种是针对白名单里的端口开启，即只能白名单里 
的IP能够通过这个端口访问。

-A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT这种是全白的开启，即任何的机器都能通过这个端口访 
问。